42 lines
2.7 KiB
XML
42 lines
2.7 KiB
XML
<?xml version="1.0" encoding="UTF-8"?>
|
|
<section>
|
|
<title>Broncode Audit</title>
|
|
<p><company_short/> zal een broncode audit uitvoeren ter ondersteuning van pentesting.
|
|
Gedurende een code audit onderzoeken wij handmatig de broncode van een applicatie
|
|
om te verzekeren dat er geen kwetsbaarheden in de beveiliging zitten en gebruiken wij
|
|
ons begrip van de code om het pentesten te leiden. Als er kwetsbaarheden gevonden worden
|
|
documenteren wij deze en komen met suggesties om deze op te lossen. Dit wordt gedaan
|
|
door goed-getrainde penetratie testers die zowel raw code kunnen herzien,
|
|
als het interpreteren van de bevindingen van de geautomatiseerde scans, wat het in context brengt.</p>
|
|
<p>Tijdens het code audit gedeelte van penetratie tests nemen wij de volgende criteria mee:</p>
|
|
<ol>
|
|
<li>Risico Beoordeling en "Dreiging Modellering"<br/>
|
|
In deze stap analyseren wij de risico's van een bepaalde applicatie of systeem.
|
|
Dreiging Modellering is een specifieke, gestructureerde aanpak voor risico
|
|
analyse dat ons in staat stelt om beveiligingsrisico's te identificeren,
|
|
kwalificeren en te addresseren. Dit is de reden voor de vervlechting met
|
|
het proces van Code Herziening. Bijvoorbeeld: Gebruiksgegevens zijn heilig.
|
|
Wij focussen op versleutelde opslag, ontdekken of <client_short/> werknemers
|
|
een "backdoor" in hun data hebben en snijden gestolen toestellen af
|
|
door deze op afstand te wissen en accounts in te trekken.</li>
|
|
<li>Doel en Context<br/>
|
|
Hier focussen wij op de risico's, voornamelijk in het snel en gemakkelijk
|
|
delen van interne documenten en routebeschrijvingen. Accountgegevens
|
|
zijn niet zo geheim als wij weten wie in een vergadering zit, maar
|
|
wat besproken wordt geheim is.</li>
|
|
<li>Complexiteit<br/>
|
|
De complexiteit van het systeem zit hem in de frameworks die de
|
|
webapplicatie ondersteunen. Wij zouden deze negeren en ons alleen richten
|
|
op de "custom" en backend code, waarvan wij weten dat het gebaseerd is
|
|
op .NET/ C#. We zouden ons ook focussen op implementatiefouten en bekende
|
|
fouten in de systemen. Bijvoorbeeld: We zouden bevestigen of u de laatste
|
|
versie van de software gebruikt, maar we zouden niet delven in het framework zelf.
|
|
Omdat wij aannemen dat de code is geschreven door een team zal dit waarschijnlijk duidelijk
|
|
geschreven code zijn. Als u meerdere full-release versies heeft, zullen er
|
|
ongetwijfeld meerdere code revisies en audits op deze code zijn.</li>
|
|
</ol>
|
|
<p>Voor meer informatie verwijzen wij u naar de volgende link:
|
|
<a href="https://www.owasp.org/index.php/OWASP_Code_Review_V2_Table_of_Contents">https://www.owasp.org/index.php/OWASP_Code_Review_V2_Table_of_Contents</a></p>
|
|
|
|
</section>
|